Hello World !

[Ambrosios]

Salut amis de n-pn !

Il y a de ça quelques mois j'ai suivi des mini-cours programmation en php après avoir acquis quelques bases en HTML5. Alors je me suis décidé à développé mon propre site web pour voir où j'en étais et ce dont j'étais capable.

Le problème, c'est que je n'ai quasi pas eu de sensibilisation sur la sécurité. Dire que ça me préoccupe tant que ça pour ce site serait faux mais j'aimerai le perfectionner sous toutes ses coutures bien qu'il ne soit pas fini.

Voici mon site http://ambrosios.esy.es
J'utilise un sous domaine pour ne pas payer de nom de domaine pour le moment. Je suis hébergé chez Hostinger.


J'en suis bien le propriétaire http://ambrosios.esy.es/n-pn.html

Merci à tous !

¡ Peace !

[crown]

Veilles à bien sécuriser les variables que tu affiches dans ta page vous, si on modifie son user-agent on peut injecter du code (de même pour le referer), rien de bien méchant cependant c'est toujours bien d'être au courant

En ce qui concerne le changement de couleur via les cookies que tu crées par la méthode POST, t'as un petit FPD, penses à désactiver tes erreurs, elles sont utiles quand tu codes en local, moins quand ton site est en ligne (t'as le même soucis avec tes paramètres POST de connexion que tu envoies à ta fonction trim). Ces fichiers/dossiers laissent paraître des erreurs :

• bloc-notes.php
  
• bloc-notes/
  
• blog.php
  
• blog/index2.php
  
• connexion.php
  
• contact.php
  
• deconnexion.php
  
• inscription.php
  
• news/connect.php
  

Tes dossiers sont accessible en lecture (on peut voir le listing des fichiers) je sais pas si c'est volontaire, si ça l'est pas penses à modifier les perms.

[ark]

Yo, j'ai pas trop le temps de regarder plus dans l'immediat, mais j'ai note au moins un truc.
Pour l'inscription, demande une confirmation sur l'addr mail et/ou ajoute un captcha, sinan tu vas te retrouver avec des bots qui creent des comptes a tout va pour raison X ou Y, c'est mieux de pas avoir a se trimbaler ca. Et par rapport a ca, tu pourrais ban les adresses mail jetable (yopmail, 10minutemail, mailinator, etc...)

[Dobry]

c'est mieux de pas avoir a se trimbaler ca. Et par rapport a ca, tu pourrais ban les adresses mail jetable (yopmail, 10minutemail, mailinator, etc...)

Ca peut même être pire, j'ai jamais essayé, mais j'ai eu des échos comme quoi MySQL a tendance à lacher assez vite au niveau de la charge, et avec un formulaire comme ca tu dois pouvoir te faire saturer ton mysql (à vérifier).

[Ambrosios]

Merci à tous pour le temps que vous m'accordez

@crown, tu peux m'expliquer comment les sécuriser ? Peut être en MP si tu as le temps bien sûr

---

Merci aussi à toi ark, je vais y songer. Merci Et j'espère que ce que tu dis est faux Dobry ^^'

[gruik]

j'ai eu des échos comme quoi MySQL a tendance à lacher assez vite au niveau de la charge

faut surement relativiser, déjà ça dépend de ton serveur, puis aussi de comment tu configures ton mysql, perso j'ai eu des db de +50G ca tenait encore bien la charge, pas que ce soit impossible mais disons qu'on en reparle le jour ta base fait rien que 10G ^^

[supersnail]

En même temps sur un hébergeur gratuit surchargé (000webhost je parie, c'est vraiment du caca ce truc en plus :>), pas étonnant que les mysql tiennent pas la charge, vu le nombres de requêtes qu'il se prennent dans la tronche chaque jour :p

[Ambrosios]

En même temps sur un hébergeur gratuit surchargé (000webhost je parie, c'est vraiment du caca ce truc en plus :>), pas étonnant que les mysql tiennent pas la charge, vu le nombres de requêtes qu'il se prennent dans la tronche chaque jour :p

C'est pas celui là mais c'est le même genre
Après je programme pour le fun et j'évite de dépenser pour un site que je ne suis pas sûr de pouvoir assurer (étudiant) ^^'

[crown]

Merci à tous pour le temps que vous m'accordez

@crown, tu peux m'expliquer comment les sécuriser ? Peut être en MP si tu as le temps bien sûr

---

Merci aussi à toi ark, je vais y songer. Merci Et j'espère que ce que tu dis est faux Dobry ^^'

Pour ce qui est des variables que tu affiches et qui sont un vecteur d'injection de code je te laisse chercher du coté des XSS. Pour ce qui est des perms sur les fichiers penches toi sur le htaccess et pour ce qui est des FPD, désactive l'affichage des erreurs, la fonction ini_set peut être une solution si t'as pas accès à ton fichier de config php (php.ini), rien ne t’empêche non plus de traiter le type de variable envoyée en paramètre. Et pour tes erreurs dans les fichiers que j'ai listé accesoirement les corriger :p

[Junky]

j'ai eu des échos comme quoi MySQL a tendance à lacher assez vite au niveau de la charge

faut surement relativiser, déjà ça dépend de ton serveur, puis aussi de comment tu configures ton mysql, perso j'ai eu des db de +50G ca tenait encore bien la charge, pas que ce soit impossible mais disons qu'on en reparle le jour ta base fait rien que 10G ^^

Oh GOD!!! Un mysql de 50G!!!!

Code :

time /etc/init.d/mysql start
4 jours, 18min et 42sec!!!

[Ambrosios]

@crown merci beaucoup

[gruik]

Oh GOD!!! Un mysql de 50G!!!!

Code :

time /etc/init.d/mysql start
4 jours, 18min et 42sec!!!

spèce de troll va

d'ailleurs je suis prêt à parier que si on fait un petit sondage on s'apercevra que :
1 - y'a beaucoups plus de mysql de 50G qu'on le croit
2 - ceux qui utilisent autre chose ont des besoins très spécifiques (genre big data typiquement, et justement des volumétries de données de plusieurs Go)
3 - ceux qu'on entend le plus troller mysql sont ceux qui ne sont pas encore assez vieux pour avoir un job (et donc ne connaissent rien aux réalités de la vie) ou utilisent eux-même beaucoup de mysql ;p

[Junky]

En même tps tu m'as tendu la perche avec ton mysql de 50G.

Mais oui c'est plus du trolling qu'autre chose, même si preuves a l'appui, le postgresql supporte mieux les grosses DB que le mysql, mais on sort du sujet initial du topic .

Enfin moi je ne use que du postgres et quelques mysql et je n'ai que des merdes sur les mysql...

Junky,